잉카인터넷 시큐리티대응센터 블로그

파키스탄의 길기트 발티스탄 지역 뉴스인 Hunza News 앱으로 위장한 “Kamran” 스파이웨어가 발견됐다. 해당 앱은 우르두어 버전의 Hunza News 모바일 페이지에서 유포됐으며, 감염된 디바이스에서 민감한 정보를 수집하고 공격자에게 전송한다. Hunza News 앱으로 위장한 “Kamran” 스파이웨어를 실행하면, 처음에 연락처, SMS 메시지, 통화 기록 및 로컬 저장소 등에 접근할 수 있는 과도한 권한을 요구한다. 권한 요청을 수락하고 대시보드 화면으로 넘어가면 Hunza News의 SNS와 모바일 페이지로 연결되는 버튼을 확인할 수 있다. 해당 버튼을 클릭하면 [그림 2]와 같이 실제 페이지로 연결되면서 정상 앱처럼 동작한다. 그러나 백그라운드에서는 획득한 권한으로 [표 1]의 목록에 접..

최근 북한 해킹조직의 소프트웨어 공급망 공격 정황이 잇따라 발견되고 있다. 대만의 멀티미디어 소프트웨어 기업인 사이버링크(CyberLink) 또한 공격 대상이 됐으며, 손상된 사이버링크 소프트웨어 설치 파일이 일본, 대만, 캐나다 및 미국 등 여러 국가에서 발견됐다. 해당 파일은 소프트웨어 설치 과정 중간에 악성 페이로드가 삽입돼 있으며, 실행하면 C&C 서버에서 “LambLoad” 악성코드를 다운로드 및 실행한다. 손상된 사이버링크 설치 파일은 정상 파일과 아이콘 및 파일명이 동일하며, “CyberLink Corp.”에서 발급된 인증서로 서명돼 있어 사용자의 의심을 피하기 쉽다. 현재 해당 인증서는 Microsoft의 “허용되지 않은 인증서 목록”에 추가됐다. 설치 파일에 삽입된 악성 페이로드는 시스템..

개요 Microsoft 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - KB5032189, KB5032190, KB5032191, KB5032192, KB5032196, KB5032197, KB5032198, KB5032199, KB5032202, KB5032247, KB5032248, KB5032249, KB5032250, KB5032252, KB5032254, KB5032304 참고자료 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36017 https:..

구글의 Threat Analysis Group (TAG)에서 국가 정부 기관이 공격받은 다수의 사건을 공개했다. TAG 측은 그리스와 튀니지 등 5개의 국가 정부 기관이 공격받은 사건을 소개하며, 공격자가 모든 사건에서 사용한 제로데이 취약점을 언급했다. 이 취약점은 CVE-2023-37580으로 알려졌으며, 이메일 솔루션 업체인 Zimbra의 프로그램에서 링크 내의 매개 변수를 제대로 처리하지 못해 발생하는 XSS 취약점이라고 설명했다. 해당 취약점을 사용한 첫 번째 공격은 6월 경 그리스 정부 기관에서 발생했다. 이때 공격자는 취약점을 악용한 링크를 메일 본문에 작성해 관계자에게 전송하는 방식으로 피해 기관에 침투했고 이메일과 첨부 파일 등의 데이터를 탈취했다. 며칠 후인 7월 초에 이 사건이 알려지..

개요 Veeam 사는 자사 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Veeam ONE 11 11.0.0.1379 - Veeam ONE 11a 11.0.1.1880 - Veeam ONE 12 12.0.1.2591 참고자료 https://www.veeam.com/kb4508

Arid Viper 그룹의 Android 사용자를 표적으로 하는 공격이 발견되었다. Cisco Talos에 따르면 해당 캠페인은 작년 4월부터 등장한 것으로 전해진다. 정상의 데이팅 애플리케이션과 유사한 모습으로 위장하여, 정보 탈취 및 악성 코드 다운로드 등의 악성 동작을 수행한다. 아래의 실행 화면은 ‘Skipped’ 이름으로 유포된 악성코드이다. 해당 앱은 악성 동작을 수행하기 위해, 여러가지 권한을 획득한다. 단말기의 종류 및 모델에 따라 일부 차이가 있으나, 접근성 권한과 알림 권한을 획득한다. 그리고 관리자 모드로 앱을 실행하도록 설정하고, 악성동작의 지속성을 유지하기 위해 해당 앱의 배터리 최적화 설정을 취소한다. 그리고 일부 제조사 보안 패키지를 탐지한 후, 자동 실행 설정을 수행한다. 그..

1. 악성코드 통계 악성코드 진단 비율 2023년 10월(10월 1일 ~ 10월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, 진단명 별로 비교하였을 때 “Renamer”가 76%로 가장 높은 비중을 차지했고, “Agent”가 17%로 그 뒤를 따랐다. 악성코드 유형별 진단 비율 전월 비교 10월에는 악성코드 유형별로 9월과 비교하였을 때 전체적으로 진단 수가 감소했다. 주 단위 악성코드 진단 현황 10월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 9월에 비해 첫째 주는 진단 수가 감소했지만 둘째 주는 증가했다가 셋째 주부터 다시 감소하는 추이를 보였다. 2. 악성코드 동향 2023년 10월(10월 1일 ~ 10월 31일) 한 달간 등장..

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된, 데이터 유출 사이트 41곳의 정보를 취합한 결과이다. 2023년 10월(10월 1일 ~ 10월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 “LockBit” 랜섬웨어가 66건으로 가장 많은 데이터 유출이 있었고, “NoEscape” 랜섬웨어와 “Play” 랜섬웨어가 각각 58건과 40건의 유출 사례를 기록했다. 2023년 10월(10월 1일 ~ 10월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 43%로 가장 높은 비중을 차지했고, 영국이 10%, 캐나다가 6%로 그 뒤를 따랐다. 2023년 10월(10월 1일 ~ 10월 31일)에 발생한 데이터 유출 ..

최근 SFX 압축 파일 형태로 유포되는 “Lu0Bot” 악성코드가 발견됐다. 해당 악성코드는 C&C 서버의 명령을 받아 동작하는 봇 악성코드이며, Node.js 인터프리터와 암호화된 JavaScript를 포함하고 있다. “Lu0Bot”을 실행하면, 스스로 압축을 해제 후 Node.js를 사용해 암호화된 JavaScript를 복호화 및 실행한다. Node.js는 플랫폼에 구애 받지 않고 JavaScript 코드를 실행할 수 있게 해주는 프로그램으로 다양한 기능을 지원하는 라이브러리를 내장하고 있기 때문에 “Lu0Bot”은 별도의 외부 소스 없이 다양한 동작을 수행할 수 있다. 다만, 현재 해당 악성코드는 PE 파일로 유포되고 있어 Windows에서만 실행되지만, Node.js의 활용은 Linux 등의 다른..

개요 Microsoft 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - KB3061064, KB4470124, KB5029242, KB5029377, KB5029378, KB5029379, KB5029503, KB5029924, KB5030178, KB5030179, KB5030180, KB5030181, KB5030182, KB5030183, KB5030184, KB5030185, KB5030186, KB5030211, KB5030216, KB5030217, KB5030219, KB5030220, KB5030325, KB..